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Abstract 


The invention relates to an encoding method and an encoding device. At least one partial cryptographic 
operation yi=fl(xi, ki) is carried out by data xi, ki which are digitally stored as data bit words and the result 
or intermediate results yl are digitally stored or temporarily stored as data bit words. At least one of the 
data xi, ki and/or the result or at least intermediate result yi is optionally complemented or not bit by bit to 
aei, ki and/or yi, in accordance with a control signal ri based on random numbers. 
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Die folgendan Angaben sind den vom Anmelder eingereichten Unterlagen entnommen 

@ Verschlusselungsverfahren zum Ausfuhren von kryptographischen Operat'ionen 

(§) Die voriiegende Erfindung betrifft ein Verschlussel- 
ungsverfahren sowie eine Verschlusselungsvorrichtung, 
wobei wenigstens eine kryptographische Tef (operation y,- 
= f|{Xj, kj) von digital als Datenbitworte gespeicherten Da- 
ten Xj, k, ausgefuhrt und das jeweilige Ergebnis bzw. je- 
weiiige Zwischenergebnisse yj digital als Datenbitworte 
abgespeichert bzw. zwischengespeichert werden. Hierbei 
wird wenigstens eines der Daten x^, kj und/oder das Er- 
gebnis bzw. wenigstens ein Zwischenergebnis y,- in Abr 
hangigkeit von einem auf Zufallszahlen basierenden 
Steuerstgnal rj wahtweise bitweise zu ^'>^<|Und/oder >'^kom- 
plementiert oder nicht. 
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DE 199: 

Beschreibung 

Technisches Gebiet 

Die Erfindung betrifft. ein Verschlusselungsverfahren, 
wobei wenigstens eine kryptographische Teiloperation yi = 
fi (x„ ki) von digital als Datenbitworte gespeicherten Daten 
Xi, ki ausgefuhrt und das jeweiiige Ergebnis bzw. jeweilige 
Zwischenergebnisse y\ digital als Datenbitworte abgespei- 
chert bzw. zwischengespei chert werden, gemaB dem Ober- 
begriff des Anspruchs 1. Die Erfindung betrifft femer eine 
Verschlusselungsvorrichtung mit einer Berechnungseinheit 
und Registem R^, wobei die Berechnungseinheit wenigstens 
eine kryptographische Teiloperation yj = fi (Xi, ki) von digital 
in den Registem Ri der Verschlusselungsvorrichtung als Da- 
tenbitworte gespeicherten Operanden Xj, k^ ausfiihrt und das 
jeweilige Ergebnis bzw, Zwischenergebnisse y^ digital in 
den Registem Rj dor Verschlusselungsvorrichtung als Da- 
tenbitworte abspeichert, bzw. zwischenspeichert, gemafi 
dem Oberbegriff des Anspmchs 8. 

Stand der Techntk 

In viclen Datenverarbeitungsgeraten dienen kryptogra- 
phische Operationen zuiii Schulz des Betriebes dieser Ce- 
rate bzw. zum Schutz von in dem Gerat transportierten Da- 
ten. Die hierfur notwendigen Berechnungsoperationen wer- 
den dabei sowohl von Standard-Rechenwerken als auch von 
dedizierten Crypto-Rechenwerken durchgefiihrt. Ein typi- 
sches Beispiel fur ietzteres sind Chipkarten bzw. IC-Karten. 
Bei derartigen kryptographischen Berechnungen, wie in 
F^. 1 v^anschaulicht, ist es oftmals notwendig, entspre- 
chende Speicherbereiche bzw. Register des Datenveracbei- 
tungsgerates mit Operanden Xj, kj zu initialisieren. Wahrend 
der i-ten Berechnung werden ggf Zwischenergebnisse yi in 
Speicherbereichen oder Registem Rj abgelegt oder abschlie- 
Bend das Ergebnis der Berechnung zur Weiterverarbeitung 
in Speicherbereichen oder Registem abgelegt. Das Register 
ri befindet sich zwischen einer vorherigen i-ten kryptogra- 
phischen Berechnung und einer nachfolgenden (i+l)-ten 
kryptographischen Berechnung. Bei den in diesem Zusam- 
menhang verwendeten Daten Xi , ki bzw. Zwischeneigebnis- 
sen yi handelt es sich ublicherweise um sicherheitsrelevante 
Informationen, wie beispielsweise kryptographische 
Schliissel oder Operanden. 

Zur Berechnung der kryptographischen Algorithmen 
werden in den Datenverarbeitungsgeraten logische Ver- 
knupfungen zwischen Operanden ki bzw. Zwischenergeb- 
nissen yi bzw. Xi , Xj+i durchgefiihrt In Abhangigkeit vbii 
der verwendeten Technologic fiihren diese Operationen, ins- 
besondere das Laden der Speicherbereiche bzw. Register 
mit Daten, zu einem erhdhten Stromverforauch der Daten- 
verarfoeitungsgerate. Bei komplementarer Logik, wie bei- 
spielsweise der CMOS-Technik, tritt ein erhShter Stromver- 
brauch dann auf, wenn der Wert, einer Bit-Speicherzelle ge- 
andert wird, d. h. sein Wert sich von "0" auf "1" bzw. von 
"1" auf "0" andert. Der eriiohte Verbrauch hangt dabei von 
der Anzahl der im Speicher bzw. Register geanderten Bit- 
steilen ab. Mit anderen Worten lasst das Laden eines zuvor 
geloschten Registers einen Stromverbrauch proportional 
zum Hamminggewicht des Operanden (= Anzahl der Bits 
mit dem Wert "1") bzw. der Differenz im Hamminggewicht 
ansteigen. Durch eine entsprechende Analyse dieser Strom- 
anderung konnte es moglich sein, Informationen Uber die 
bcrcchnctcn Operationen zu cxtrahicrcn, so dass eine crfolg- 
reiche Kxyptoanalyse von geheimen Operanden, wie bei- 
spielsweise kryptographischen Schlusseln, moglich ist. Mit- 
tels Durchfiihrung mehrerer Strommessungen am Datenver- 
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. arbcitungsgerat konnten beispielsweise bei schr kleinen Si- 
gnalanderungcn eine hinreichende Extraktion der Infonjia- 
tionen ennoglicht werden. Andererseits konnten niehrere 
Strommessungen eine ggf. erforderliche Dififerenzhiliiung 
3 ennogtichen. Diese Art der Kryptoanalyse wird auch als 
"Differential Power Analysis'* bezeichnet, inittels derer ein 
AuBenstehender durch reine Beobachtung von Anderungen 
des Strom verbrauches des Daten verarbeitungsgerates eine 
ggf. unberechtigte Kryptoanalyse der kryptographischen 

10 Operationen, Algorithmen, Operanden bzw. Daten erfolg- 
reich ausfuhren kann. 

Aus der US 5 297 201 ist es bekannt, einen Hochfrequenz 
abstrahlenden Computer mit einer Einrichtung zu kombinie- 
rcn, welche ebenfalls Hochfrequenz ahnlich zu derjenigen 

15 des Computers abstrahlt. Dadurch ist es fur einen unberech- 
tigten Dritten nicht mehr moglich, die Hochfrequenzab- 
strahlung des Computers zu dekodieren. Eine Kryptoana- 
lyse durch einen Dritten, der unmittclbar Zugang zum Com- 
puter hat, kann dieses System jedoch nicht verhindem. 

20 Um bei Chipkarten eine Korrelation zwischen einer Aus- 
gabe eines Ergebnisses einer kryptographischen Operation 
bzw. einer Ubertragung einer Schlusselinformation fOr eine 
kryptographischen Operation und der kryptographischen 
Operation selbst zu beseitigen ist es aus Patent Abstracts of 

25 Japan 100 69 222 A bekannt, das Ergebnis der kryptographi- 
schen Operation bzw. die Ubertragung der Schlusselinfor- 
mation fiir die kryptographischen Operationen zeitlich zu 
verzogera, Jedoch ist auch dieses System mittels der "Diffe- 
rential Power Analysis" analysierbar, da sich auch die ver- 

30 zogerte Datehiibertragung im Stromverbrauch des Daten- 
verarbeitungsgerates vcnrat. 

Darstellung der Erfindung, Aufgabe, Losung, ^rteile 

35 Es ist Aufgabe der vorliegenden Erfindung, ein verbesser- 
tes Verfahren sowie eine verbesserte Vorrichtung der oben- 
genannten Art zur Vertugung zu stellen, welche die obenge- 
nannten Nachteile beseitigen und eine erfolgreiche Kryptoa- 
nalyse mittels Beobachtung eines Strom verbrauches. eines 

40 Datenverarbeitungsgerates wirksam verhindert. 

Diese Aufgabe wird durch ein Verfahren der o. g. Art mit " 
den in Anspruch 1 gekennzeichneten Merkmalen gelost 

Dazu ist es erfindungsgemafi voigesetien, dass wenig- 
stens eines der Daten Xi, ki und/oder das Ergebnis bzw. we- 

45 nigstens ein Zwischenergebnis y\ in Abhangigkeit von ei- 
nem auf Zufallszahlen _ba^ierenden Steuersignal r^ wahl- 
weise bitweise zu y=f(x, k) und/oder, yi komplementiert 
wird Oder nicht. 

Dies hat den Vorteil, dass bei wiederholter Ausfuhrung 

50 derselben kryptographischen Operation andere Bitfolgen 
bearbeitet bzw. abgespeichert wetden, so dass sich bei der 
jeweiligen Ausfuhrung einer kryptographischen Operation 
bzw. mehrerer kryptographischer Operationen andere 
Stromanderungen des Datenverarbeitungsgerates ergeben. 

55 Unabhangig vom eigentiichen Wert der Teilergebnisse wird 
somit bei wiederholter Ausfuhrung der Gesamtberechnung 
erreicht, dass jeder Datenpfad bei einer echten Zufalls2:ah- 
lenreihe gleichhaufig bzw. bei einer Pseudozufallszahlen- 
rcihe nahezu gleichhaufig von "0" auf "0", von "0" auf "1", 

60 von"l" auf "0" und von "1" auf "1" wechselU Da jedoch das 
auf Zufallszahlen basierende Steuersignal r^ nicht bekannt 
bzw. vorbestimmt ist, fehlt dne Korrelation zwischen den 
Stromanderungen und den Bitwerten der Daten und Eigeb- 
nisse, so dass eine "Differential Power Analysis" nicht mehr 

65 zu einer crfolgrciehcn Kryptoanalyse fuhrt. Mit anderen 
Worten enthalt der mitUere Stroni verbrauch der Gesamrope- 
ration keine brauchbare Information uber die verwendeten 
Teiloperanden bzw. Zwischenergebnisse in den Teilopera- 
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tionen. 

Vorzugsweise Weitergestaltungen der Vorrichtung sind in 
den Anspriichen 2 bis 7 beschrieben. 

ZwecicniaBigerweise werden in den kryptographischen 
Teiloperationen eine oder mehrere XOR-Verkniifungen (Ex- 5 
klusiv-Oder-Verioiufung) ausgefuhrl. 

Die Daten umfassen beispielsweise kryplographische 
Schiiissei und/oder Operanden. 

In einer bevorzugien Ausftihrungsforra werden Zwi- 
schcnergebnisse yi zwischen der Ausfuhrung von aufeinan- 10 
der folgenden ktyptographischen Teiloperationen in einem 
Register Ri zwischengespeichert und als Operand Xi+i der 
nachfolgenden kryptographischen Teiloperationen zuge- 
fuhrt 

Zum Herstellen eines originalen, nicht invertierten Wertes 15 
nach jeder Teiloperalion wird eine aus dem Zwischenergeb- 
nis Yi einer vorangegangenen Teilop^ation i erhaltene Bit- 
folgc Xi+i = yi fiir cine nachfoLgcndc Tcilopcration i+1 bit- 
weise zu Xj+i, komplementiert, wenn die Daten xi, kj der vor- 
angegangenen Teiloperadon i bitweise komplementiert wur- 20 
den. 

In einer besonders bevorzugten Ausfuhrungsform werden 
bei der bitweisen Komplemenuerung wenigstens ein Bit- 
wert, insbesondere die geraden Bitwerte, die ungeraden Bit- 
werte oder alle BiLwerte, eines Daienbitwortes xi , ki, bzw. y i 25 
inverti^. Hierbei ist es besonders vorteilhaft, wenn eine In- 
vertierung von Bitwerten bzw. Bitadressen eines Daienbit- 
wortes Xi, ki, bzw. yi bei der bitweisen Komplemenderung 
niittels einer XOR-Operation (Exklusiv-Oder-Operation) 
durchgefiihrt wird. 30 

Bei einer Vorrichtung der o. g. Art ist erfindungsgemaB 
wenigstens ein von einem Steuersignal r^ steuerbarer Inver- 
ter fiir wenigstens eines der Daten xt, ki und/oder das Ergeb- 
nis bzw. wenigstens ein Zwischenergebnis yi , ein Zufalls- 
zahlengenerator, welcher Zufallszahlen erzeugt, soMde eine 35 
Votrichtung zum Erzeugen des Steuersignals ri auf den Zu- 
fallszahlen basierend vorgeseben, wobei der steuerbare In- 
verter in Abhangigkeit von dem Steuersignal q wahlweise 
die Bitfolgen xi, ki bzw. yi zu ihrem bitweisen Komplement 
Xi, ki bzw. yi, umsetzt oder unverandert lassL 40 

Dies hat den Vorteil, dass bei wiederholter Ausfuhrung 
derselben kryptographischen Operation andere Bitfolgen 
bearbeitet bzw. abgespeichert werden, so dass sich bei der 
jeweiligcn Ausfuhrung der kryptographischen Operation 
bzw. kryptographischoa Op^tionen andere StromMnd^n- 45 
gen des Datenveraibeitungsgerates eigeben. UnabhSngig 
vom eigentlichen Wert der Teilergebnisse wird somit bei 
wiederholter Ausfuhrung der Gesamtberechnung erreicht, 
dass jeder Datenpfad bei einer echten Zufallszahlenreihe 
gleichhaufig bzw. bei einer Pseudozufallszahlenreihe na- 50 
hezu gleichhaufig von "0" auf "0", von "0" auf "1", von "1" 
auf "0" und von "1" auf "1" wechselt. Da jedoch das auf Zu- 
fallszahlen basierende Steuersignal Fi nicht bekannt bzw. 
vorbestinmit ist, fehlt eine Korrelation zwischen den Strom- 
anderungen und den Bitwerten der Daten und Ecgebnisse, sa 55 
dass eine "Differential Power Analysis" nicht mehr zu einer 
erfolgreichen Kryptoanalyse fuhrt. Mit anderen Worten ent- 
halt der mitdere Strom verbrauch der Gesamtoperation keine 
brauchbare Information uber die verwendeten Teiloperan- 
den bzw. Zwischenergebnisse in den Teiloperationen. 60 

Vorzugsweise Weitergestaltungen der Vorriditung sind in . 
den Anspriichen 9 bis 14 beschrieben. 

In einer bevorzugten Ausfuhrungsform ist wenigstens ei- 
nem Register Ri ein Inverter nachgeschaltet, welcher das 
idcntischc Steuersignal ri crhalt, wic die der i-tcn Tcilopcra- 65 
tion vorgeschalteten Inverter fiir die Daten Xi, kj. Dieser ei- 
nem Register Ri der i-ten Teiloperadon nachgeschaltete In- 
verter ist dabei bevorzugt mit einem der nachfolgenden 



(i+l)-ten Teiloperadon vorgeschalteten Inverter fiir ein Ein- 
gangsdatuiii Xj+i kombiniert. Der kombinierte Inverter crhalt 
zweckinaBigerwcise sowohl das Steuersignal r^ der vorange- 
gangenen i-ten Teiloperation als auch das Sfeuersignal r^^i 
der nachfolgenden (i+l)-ten Teiloperation. 

Die Daten umfassen beispielsweise kryptographische 
Schlussel und/oder Operanden. 

In einer bevorzugten Ausfuhrungsform speichert ein Re- 
gister Ri zwischen einer vorangegangenen i-ten Teilopera- 
tion und einer nachfolgenden (i+l)-ten Teiloperation ein 
Zwischenergebnis y^ der vorangegangenen i-ten Teilopera- 
tion und leitet dieses Zwischenergebnis als Eingangswert 
Xi+i an die nachfolgende (i-l-l)-te Teiloperation weiter. 

Zweckmafiigerweise inverlien die bitweise Komplemen- 
derung wenigstens einen Bitwert, insbesondere die geraden 
Bitwerte, die ungeraden Bitwerte oder alle Bitwerte, eines 
Datenbitwortes Xi, ki bzw. yi. 

. Kurze Beschreibung der 21eichnungen 

Nachstehend wird die Erfindung anhand der beigefugten 
Zeichnungen naher erlautert. Diese zeigen in 

Fig* 1 ein Ablaufschema eines Teiles einer kryptographi- 
schen Operation gemaB dem Stand der Technik, 

Fig. 2 ein Ablaufschema eines Teiles einer ersten bevor- 
zugten Ausfuhrungsform einer erfindungsgemaBen krypto- 
graphischen Operation und 

Fig, 3 ein Ablaufschema eines Teiles einer zweiten bevor- 
zugten Ausfuhrungsform einer erfindungsgemaBen krypto- 
graphischen Operation. 

Bester Weg zur Ausfuhrung der Erfindung 

Bei der in Fig. 2 dargestellten ersten bevorzugten Ausfuh- 
rungsform eines erfindungsgemaBen Verschlusselungsyer- 
fahrens wird durch eine Kette von Teiloperationen fi (Xj, ki ), 
innerhalb derer ein oder mehrere logische XOR-Verknup- 
fungen (Exklusiv-Oder-Verknupfung) ausgeftihrt werden, 
eine kryptographische Gesamtoperation durchgefuhrt. Dar- 
gestellt sind zwei Teiloperationen, namlich die i-te Teilope- 
ration 10 und die (i+l)-te Teiloperation 12, wobei jede Tei- 
loperation von einer Berechnungseinheit ausgefuhrt wird. 
Jeder Teiloperation 10, 12 ist eine Speicherzelle oder ein Re- 
gister Ri 14 bzw. eine SpeicherzeUe oder ein Register Rj 16 
nachgeschaltet Jede Teiloperation 10, 12 hat als Eingangs- 
wert ein Datum Xi , Xi+i sowie einen Operanden ki, Iq+i, wel- 
che als Datenbitworte zur Verfiigung stehen. 

Jeder Teiloperation 10, 12 vorgeschaltet ist jeweils ein 
steuerbarer Inverter 18 bzw. 20 fiir die Daten Xi, Xi+i sowie 
jeweils ein steuerbarer Inverter 22, 24 fiir die Operanden ki, 
ki+i Femer ist bei jeder Teiloperation 10, 12 dem jeweiligen 
Register Ri 14 bzw. Ri +Ri4.i 16 ein steueibarer Inverter 26, 
28 fiir das Zwischenergebnis yi, yi+i nachgeschaltet, wobei 
dieses Zwischenergebnis von dem jeweiligen Register Ri 14 
bzw. Ri4.i 16 als Bingangsdaten Xi^.^ bzw. Xi.|.2 an eine nach- 
folgende Teiloperation 12 weiter gegeben werden. Diese In- 
verter 18 bis 28 sind durch ein Steuersignal T[ bzw. q+i derart 
steuerbar, dass sie in Abhangigkeit von dem jeweiligen 
Steuersignal ri bzw. ri+i wahlweise die zugeordneten Daten- 
bitworte bitweise koniplementieren oder nicht. Hierbei er- 
halten alle Inverter 18, 22, 26 bzw. 20, 24, 28 einer Teilope- 
ration 10 bzw. 12 dasselbe Steuersignal ri bzw. ti+i. Mit an- 
deren Worten wird die Entscheidung, ob eine Invertierung 
der entsprechenden Eingangswene der Inverter 18 bis 28 
durchgefuhrt. wird oder ob die Eingangswcrtc unbcarbcitct 
die Inverter 18 bis 28 durchlaufen, durch das zusatzliche 
Steuersignal ti bzw. ri+i entschieden. Diese Anordnung von 
Registem 14, 16 zwdschen Teiloperationen 10, 12 findet vor 
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allem dann Anwcndung, wenn die Tciloperaiionen 10, 12 
zeitlich nacheinander von ein und derselben Einheit berech- 
net werden und soniil die Teilergebnisse zwischengespei- 
chert. werden niussen. 

Das Steuersignal wird durch 2kifallswerte aus cinem Zu- 5 
fallsgenerator d^hingehend gesteuert, dass die Teiloperadon 
abhangig vom Wert der Zufallszahlen entweder das Origi- 
nalergebnis y = f(x, k) oder das bitinvertierte Ergebnis y = 
f(x, k) liefen. Hierdurch wird realisieru dass sowohl die Be- 
rechnung als auch die Speicherung der Daten in den Regi- 10 
stem Ri 14, 18 entweder mit Originalwerten oder mil bidn- 
vertierten Werten durchgefuhrt wird. TJnabhangig vom ei- 
gendichen Wert der Teilergebnisse wird sonut bei wieder- 
holter Ausfiihrung der Gesamtbeiechnung erreicht, dass je- 
derDatenpfadgleichhaufig von "0" auf 0", von "0" auf "1", 15 
von "1" auf "0" und von "1" auf "1" wechselt. Der mittlere 
Stromverbrauch der Gesamtoperation enlhalt somit keine 
brauchbarc Infonnation ubcr die vcrwcndctcn Tcilopcran- 
den ki bzw. Zwischenergebnisse yj in den Teiloperadonen 
10, 12. Der dem Register 14, 16 nachgeschaltete Inverter 26, 20 
28 stellt fiir die folgende Teiloperation 12 wiedef den origi- 
nalen, nicht invertierten Wert her. 

Die zweite bevorzugte Ausfuhningsform des ^ndungs- 
gemaBen Versohlusselungsverfahrens gemaB Fig* 3 ent- 
sprichl der erslen Ausfuhrungsfonn von Fig* 2 iml dein ein- 25 
zigen Un terse hied, dass die den Registem 14, 16 nachge- 
schalteten Inverter 26, 28 mit dem jeweiligen Eingangsin- 
verter 20 der folgenden Stufe 12 zu einem Inverter 30 kom- 
biniert sind. 

Die Inverter inverderen beispielsweise auch nur einen 30 
Tell der Bitwerte des jeweiligen Datenbitwortes. So werden 
beispielsweise nur die geraden oder ungeraden Bitworte 
bzw. Bitadressen invertiert. Die Inverderung der Bitwerte 
erfolgt beispielsweise mittels einer XOR-Operation (Exklu- 
siv-Oder-Operation). ^5 

Bezugszeichenliste 

10 i-te Teiloperation 

12 (i+l)-te Teiloperadon 40 

14Regista:Ri, 

16 Register Ri+i 

18 steuerbacer Inverter fiir xi 

20 steuerbarer Inverter fur xi+i 

22 steuerbarer Inverter fur ki 45 
24 steuerbarer Inverter tlir kj+i 
26 steuerbarer Inverter fiir yi 
28 steuerbarer Inverter fur yj+i 
30 kombinierter Inverter 

50 

Patentanspruche 

1. Verschlusselungsverfahren, wobei wenigstens eine 
kryptographische Teiloperation yi = fi (Xi , kj von digi- 
tal als Datenbitworte gespeicherten Daten Xi, k^ ausge- 55 
fOhrt und das jeweilige Ergebnis bzw. jeweilige Zwi- 
schenergebnisse yi digital als Datenbitworte abgespei- 
chert bzw. zwischengespeichert werden, dadurch ge- 
l^ennzeidinet, dass wenigstens eines der Daten Xi, ki 
und/oder das Ergebnis bzw. wenigstens ein Zwi- 60 
schenergebnis yi in Abhangigkeit von einem auf Zu- 
fallszahlen basierenden Steuersignal r^ wahlweise bit- 
weise zu Xi, ki und/oder yj komplementiert wird oder 
nicht. 

2. Verschlusselungsverfahren nach Anspruch 1, da- 65 
durch gekennzeichnet, dass in den kryptographischen 
Teiloperationen eine oder mehrere XOR-Verkniipfun- 
gen OBxklusiv-Oder-Verkniipfung) ausgefiihrt werden. 
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3. Verschlusselungsverfahren nacb Anspruch 1 oder 2, 
dadurch gekennzeichnet, dass die Daten kryptographi- 
sche Schlussel und/oder Operanden umfassen. 

4. Verschlasselung.sverfahren nach einem der vorher- 
gehenden Anspriiche; dadurch gekennzeichnet, dass 
Zwischenergebnisse yi zwischen der Ausfiihrung von 
aufeinander folgenden kryptographischen Teiloperatio- 
nen in einem Register Ri zwischengespeichert und als 
Operand Xj+i der nachfolgenden kryptographischen 
Teiloperationen zugefiihrt werden. 

5. Verschlusselungsverfahren nach einem der vorher- 
gehenden Anspriiche, dadurch gekennzeichnet, dass 
eine aiis dem Zwischenergebnis y\ einer vorangegange- 
nen Teiloperation i erhaltene Bitfolge xi^i = ^| fiir eine 
nachfolgende Teiloperation i+1 bitweise zu xj+i, kom- 
plementiert wird, wenn die Daten Xi , kj der vorange- 
gangenen Teiloperation i bitweise komplementiert 
wurdcn. 

. 6. .Verschlusselungsverfahren nach einem der vorher- 
gehenden Anspriiche, dadurch gekennzeichnet, dass 
bei der bitweisen Komplementierung wenigstens ein 
Bitwert, insbesondere die geraden Bitwerte, die unge- 
raden Bitwerte oder alle Bitwerte, eines Datenbitwor- 
tes Xi, ki , bzw. yi invertiert werden. 

7. Verschlusselungsverfahren nach einem der vorher- 
gehenden Anspriiche, dadurch gekennzeichnet, dass 
eine Invertierung von Bitwerten bzw. Bitadressen eines 
Datenbitwortes Xi, ki , bzw. y^ bei der bitweisen Kom- 
plementierung mittels einer XOR-Operation (Exklu- 
siv-Oder-Operation) durchgefuhrt wird. 

8. Verschliisselungsvorrichtung mit einer Berech- 
nungseinheit und Registem R^ (14, 16), wobei die Be- 
rechnungseinheit wenigstens eine kryptographische 
Teiloperation yj = fi (xj, ki) (10, 12) von digital in den 
Registem Rj (14, 16) der Verschliisselungsvorrichtung 
als Datenbitworte gespeicherten Operanden xl, ki aus- 
fiihrt und das jeweilige Ergebnis bzw. Zwischenergeb- 
nisse yi digital in den Registem Ri (14, 16) der Ver- 
schliisselungsvorrichtung als Datenbitworte abspei- 
chert bzw. zwischenspeichert, dadurch gekennzeich- 
net, dass wenigstens ein von einem Steuersignal q steu- 
erbarer Inverter (18 bis 28; 30) fur wenigstens eines der 
Daten xi, und/oder das Ergebnis bzw. wenigstens ein 
Zwischenergebnis yi, ein ZufaUszahlengeneralor, wel- 
cher Zufallszahlen erzeugt, sowie eine Vorrichtung 
zum Erzeugen des Steuersignal ^ auf den Zufallszahlen 
. basierend vorgesehen ist, wobei der steuerbare Inverter 
(18 bis 28; 30) in Abhangigkeit von dem Steuersignals 
jTi wahlweise die Bitfolgen Xi, kij>zw. yi zu ihrem bit- 

^ ' weisen Koniplement Xj , ki, bzw. yi umsetzt oder unver- 
'~ andertlasst. 

9. Verschliisselungsvorrichtung nach Anspruch 8, da- 
durch gekennzeichnet, dass wenigstens einem Register 
Ri (14, 16) ein Inverter (26, 28; 30) nachgeschaltet ist, 
welcher das identische Steuersignal a erhalt, wie die 
der i-ten Teiloperation (10, 12) vorgeschalteten Inver- 
ter (18, 20) fur die Daten Xi, k^. 

10. Verschliisselungsvorrichtung nach Anspruch 9, da- 
durch gekennzeichnet, dass der einem Register Ri (14, 
16) der i-ten Teiloperation (10, 12) nachgeschaltete In- 
verter (26, 28) mit einem der nachfolgenden (i+l)-ten 
Teiloperation (12) vorgeschalteten Inverter (20) fiir ein 
Eingangsdatum Xi^.i kombiniert ist. 

11. Verschlusselungs vorrichtung nach Anspruch 10, 
dadurch gekennzeichnet, dass der kombinicrtc Inverter 
(30) sowohl das Steuersignal r^ der vorangegangenen i- 
ten Teiloperation (10) als auch das Steuersignal r\+i der 
nachfolgenden (i+l)-ten Teiloperation (12) erh^t. 
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12. Vcrschlusselungsvorrichiung nach einein der An- 
spnichc 8 bis II, dadurch gekcnnzcichnet, dass die Da- 
ten kryptogiaphische Schlussei und/oder Operanden 

umfassen. 

13. Verschlusselungsvorrichtung nach eineni der An- 5 
spruche 8 bis 12, dadurch gekennzeichnet, dass ein Re- 
gister Ri (14, 16) zwischen einer vorangegangenen i- 
ten Teiloperation (10) und einer nachfolgenden (i+1)- 
ten Teilopcradon (12) Zivischenergebnis yi der vor- 
angegangenen i-ten Teiloperation (10) speichert und 10 
dieses Zwischeneigebnis als Eingangswert Xi^i an die 
nachfolgende (i+l)-te Teiloperation (12) weiterleitet. 

14. Verschlusselungsvorrichtung nach einem der An- 
spruche 8 bis 13, dadurch gekennzeichnet, dass die bit- 
weise Komplementierung wenigstens einen Bitwert, 15 
insbesondere die geraden Bitwerte, die ungeraden Bit- 
werte Oder alle Bitwerte, eines Datenbitwortes Xj, kj, 
bzw, yi invcrticrt 
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